В най-голямата банка в Индонезия спестяванията на клиентите изчезват с едно кликване
Бали и Джакарта, Индонезия – В края на миналата година жената от Бали Них Лу Путу Рустини преживя шока на живота си, когато се опита да изтегли пари в брой от банкомат, за да завърши проект за обновяване на къщата на нейните предци.
Работейки като чистачка през деня и бавачка през нощта, Рустини беше спестил 37 милиона индонезийски рупии ($2340) в сметка в Bank Rakyat Indonesia, най-голямата банка в Индонезия.
Но банкоматът показа салдо почти нула.
Когато посети местния си клон на BRI, касиер я информира, че парите й ги няма.
„Казаха, че хакер е откраднал парите ми и не могат да ми ги върнат“, каза Рустини пред Ал Джазира.
„Не е честно, защото ми отне много време да спечеля тези пари, но хакерите ги взеха за секунди. Бях шокиран.“
I Made Rai Dwi Ada Diatmika, производител на кожени изделия в Бали, имаше подобно преживяване миналия август, когато се опита да направи първото си изтегляне от години.
Хакер беше изчистил спестяванията си от 72 милиона рупии ($4650) през май миналата година.
Както в случая с Рустини, BRI отказа да поеме отговорност за загубата.
„Когато отворих акаунта в BRI преди три години, ме помолиха да изтегля приложението им на телефона си. Казаха, че е по-безопасно, защото ще получавам ежедневни доклади. Но никога не съм го използвал, тъй като забравих паролата“, каза Диатмика пред Al Jazeera.
„Влагаме парите си в банката за сигурност. Но ако хакерите могат да влязат толкова лесно и да намерят всички наши данни, BRI трябва да има голям проблем със сигурността си.“
Рустини и Диатмика са сред многобройните клиенти на BRI, чиито спестявания са били откраднати от хакери чрез мобилното приложение на банката.
Като най-голямата икономика в Югоизточна Азия, с четвъртия по големина брой интернет потребители и петия по големина сектор за електронна търговия в света, Индонезия е привлекателна цел за киберпрестъпниците.
Данни, публикувани от Националната агенция за кибер и криптиране на Индонезия, показват, че е имало 361 милиона аномалии в онлайн трафика между 1 януари и 26 октомври миналата година в страната.
Атаките срещу имейл акаунти в Индонезия са се увеличили с 85 процента през третото тримесечие на 2023 г., въпреки че нарушенията в страни като САЩ и Русия са намалели, според данни, събрани от базираната в Холандия фирма за киберсигурност Surfshark.
Междувременно Индонезия е на трето от последно място сред страните от Г-20 за предотвратяване и управление на киберзаплахи, според Националния индекс за киберсигурност на Естония.
„Има много информация, която показва, че Индонезия е един от най-големите източници и мишени на киберпрестъпления в света“, каза пред Al Jazeera Гатра Прияндита, анализатор от Центъра за киберполитика на Австралийския институт за стратегическа политика в Сидни.
„Индонезийците са по-уязвими в известен смисъл поради лошата си цифрова хигиена. Те осъзнават все повече проблема, но когато имате 200 милиона души, внезапно скочили онлайн, те винаги ще бъдат по-уязвими.“
Правителствените уебсайтове са цел номер едно за киберхакери в Индонезия, следвани от енергийния и финансовия сектор, според проучването на Mandiant M-Trends 2023.
„Банките са мишени, защото банките са там, където са парите“, каза ръководителят на информационния отдел на BRI Мухарто, който като много индонезийци се нарича само с едно име, на форум в Джакарта през юни.
„Киберпрестъпниците вече си сътрудничат помежду си и действат като група с комбинирани възможности“, каза той и добави: „Банките не могат да се борят с киберпрестъпността сами и трябва да обединят [техните усилия] с правителството и регулаторите.“
BRI не споделя публично данни за това колко от акаунтите на клиентите му са били хакнати и не отговори на исканията на Al Jazeera за коментар.
Въпреки това, банката твърди, че е „предприела стъпки за борба с киберпрестъпността“ като „стълб“ на мисията си, цитирайки работата си с полицията и инвестициите в авангарден софтуер за киберсигурност, продаван от компании като Elastic Security в САЩ.
„Неговите функции и възможности в допълнение към нашите данни го правят идеалното решение за нашите оперативни нужди,“ Три Данарто, ръководител на отдела за операции по сигурността на BRI, беше цитиран да казва в съобщение за новини миналата година.
През февруари миналата година BRI окончателно затвори версията на уебсайта на своите услуги за електронно банкиране и пренасочи всички онлайн транзакции към новото си приложение за мобилно банкиране BRImo, твърдейки, че е „по-безопасно“ и „по-лесно за клиентите достъп до него“.
BRI също така твърди, че се стреми да образова клиентите за опасностите от инсталирането на мистериозни приложения и отварянето на подозрителни връзки и имейли.
През юли клиент на BRI в град Маланг в Източна Ява съобщи, че е откраднал 1,4 милиарда рупии ($90 330) от сметката си, която банката откри, че е активирала, като е кликнала върху фалшива покана за сватба, изпратена в WhatsApp.
„Този инцидент се случи, защото жертвата е изнесла лични и тайни данни за банкови транзакции на безотговорни страни“, каза мениджърът на клона на BRI Malang Сутойо Ахмад Фаджар в изявление по онова време, добавяйки, че въпреки че банката съчувства на жертвата, може плащайте обезщетение само когато сте виновни.
Арди Сутеджа Картавиджая, председател на Индонезийския форум за киберсигурност в Джакарта, каза, че при „90 процента от кибератаките срещу банкови сметки, вината е в клиента поради тяхната небрежност и схеми за измами, които стават все по-сложни“ .
Но ако може да се докаже, че жертвата не е позволила пробива, липсващите средства могат да бъдат заменени съгласно схемата за гарантиране на депозитите на индонезийското правителство.
„Първо жертвата трябва да подаде доклад в полицията, която е длъжна да разследва съгласно Закона за защита на личните данни от 2022 г. Но имайте предвид, че този процес отнема доста време, тъй като изисква сложни криминалистични умения за дигитално разследване,“ Kartawidjaya каза Ал Джазира.
Прияндита от ASPI каза, че капацитетът на индонезийските власти да разследват подобни престъпления е ограничен поради ограничения брой специалисти по цифрова криминалистика.
„Националната агенция за кибер и криптиране намали бюджета си от 2 трилиона [рупии] през 2019 г. на 100 милиарда [рупии] по време на пандемията – време, когато може би е необходимо повече финансиране. Бюджетът сега е 600 милиарда [рупии], но все още не е достатъчен“, каза той.
В Бали жертвата на киберпрестъпления Диатмика се сблъска от първа ръка с проблема с недостатъчните ресурси.
„Предоставих на полицията всички подробности, включително името и номера на сметката на лицето в Ява, което открадна парите ми. Но те казаха, че нямат бюджет, за да пътуват до Ява и да разследват, и че ако искам възстановяване на сумата, трябва да се бия с банката. Но за да направя това, имах нужда от адвокат. Нямам повече пари, така че бях принуден да се откажа“, каза той.
Подобно на Диатмика, Рустини, която настоява, че не е изтегляла подозрителни приложения и не е кликвала на подозрителни връзки, първоначално не е възнамерявала да се бори с BRI, считайки, че разходите за наемане на адвокат са недостъпни.
Но след като балийската адвокатска кантора Malekat Hukum предложи да я представлява безплатно, тя подаде жалба в полицията.
В допълнение към завеждането на дело срещу BRI, Malekat Hukum е завел дело в индонезийската институция за алтернативно разрешаване на спорове с надеждата да уреди въпроса чрез посредничество.
BRI досега не е отговорила на исканията за посредничество.
Ni Luh Arie Ratna Sukasari, партньор на Malekat Hukum, каза, че загубите на Rustini са върхът на айсберга в BRI.
„BRI Bank е известна с кибератаки. Чувала съм за много мимолетни случаи, при които техните клиенти са загубили всичко и трябва да направим нещо по въпроса“, каза тя пред Al Jazeera.
„Те трябва да обслужват клиентите си и да защитават парите на клиентите си. Техният аргумент, че не носят отговорност, просто не издържа. Те са тези, които се нуждаят от по-добра сигурност, а не техните клиенти. И ако не могат да предложат сигурно онлайн банкиране, не трябва да го предлагат – точка.“
Диатмика каза, че познава други клиенти на BRI, които са били измамени по подобен начин.
„Имаше един мъж, който живееше само на три минути от къщата ми. Той получи инсулт и почина, след като от сметката му бяха откраднати 1 милиард рупии [$64 500]. Семейството му трябваше да продаде къщата си“, каза той.
Експертът по киберсигурност Картауиджая каза, че феноменът не е уникален за BRI.
„Почти всички доставчици на финансови услуги в Индонезия са подложени на постоянни кибератаки. Но повечето не докладват такива събития от съображения за управление на репутацията“, каза той.
Прияндита каза, че се опасява, че киберсигурността в страната ще се влоши, преди да се подобри.
„Индонезия залага на цифровите технологии като ключов двигател на растежа, но киберсигурността просто не е приоритетът, който трябва да бъде“, каза той.
„Полагат се усилия да се отговори на проблема, но те отново са ограничени от ресурси.“
